モバイルアプリで実装が増える「多要素認証」（MFA）、手間を上回るメリットとは

多要素認証（MFA）を導入すると、パスワードだけに頼らず、階層型のアプローチを用いてアプリのセキュリティを強化できる。アプリにとってMFAが適切かどうかを把握するためには、その長所と短所を比較する必要がある。

公開 2018年01月28日 05時00分

著者

Robert Sheldon

[TechTarget]

印刷する

　多要素認証（MFA）は、企業の機密データや個人情報の保存、処理、アクセスをする企業アプリにとって欠かせない機能だ。だが、その導入に伴う問題は、ユーザー名とパスワードを組み合わせるアプローチで生じる問題を、大きく上回る。

　MFAを備えたモバイルアプリは、アプリを使用したり、そのデータにアクセスしたりする際に、それぞれ独立した複数の資格情報を指定するようユーザーに求める。MFAではセキュリティに階層型のアプローチを採用している。それにより、権限のないユーザーが機密情報にアクセスするのをより難しくしている。

併せて読みたいお薦め記事

「多要素認証」についてもっと詳しく

“パスワードのない世界”は実現するのか

具体的な多要素認証とは

　MFAが許容可能な資格情報は、通常、ユーザーの「知識」、ユーザーの「所有物」、ユーザー本人を表す「遺伝的性質」の3種類に分類される。

　「知識」カテゴリの資格情報には、パスワード、PIN（暗証番号）、秘密の質問への答えなどがある。「所有物」カテゴリには、IDカード、キーフォブ（キーホルダー型のRFID対応デバイスやリモコン）、ワンタイムパスワードトークン、モバイルデバイス自体などがある。「遺伝的性質」カテゴリは生体認証の形式を指し、網膜スキャンや指紋スキャンがこれに該当する。

　2要素認証（2FA）は、一般にMFAの一種と見なされている。ただし、2FAとMFAが別のアプローチとして扱われることもある。いずれにしても、効果的なMFA戦略には複数カテゴリの資格情報を採用することが必要になる。例えば、高度なセキュリティを必要とするアプリでは、パスワードとセキュリティトークンに加え、スマートフォンの登録が求められる場合がある。

　MFAを備えたモバイルアプリは複数の資格情報を必要とするため、パスワード単独の場合よりも安全になる。パスワードしか使用していないとハッカーは簡単にセキュリティを侵害できる。パスワードを暗号化しても、総当たり攻撃や、他の形での漏えいに対しては脆弱（ぜいじゃく）だ。

　認証プロセスの要素を増やすほど、保護レベルは向上する。1つの要素が侵害されても、他の要素が正常であれば、機密データは保護される。

　MFAを備えたモバイルアプリが使えるならば、コンプライアンス問題への取り組みにも役立つ可能性がある。地方、州、政府など、どのレベルにも効果がある。実際、組織がMFAを使用してデータのセキュリティを確保することを義務付けている規制もある。規制でMFAが要求されていなくても、セキュリティ戦略ではMFAが重要な要素になる可能性がある。

MFAの課題

　認証要素を追加するたびに、エンドユーザー側により多くの負担が求められることになる。例えば、パスワードを記憶して管理することだけでも難しい場合がある。だが、確認コードの処理のようなタスクが増えると、生産性に影響し、ストレスにつながりかねない。処理をスムーズに進められなかったり、アプリにアクセスしたりするたびに複数の手順を繰り返さなければならない場合は特にそうだ。

　MFAテクノロジーをアプリに統合するのは簡単なことではない。MFA関連テクノロジーの開発と管理の両方をするためにはDevOpsリソースが必要になる。システムの実装や統合に関して問題が発生する可能性もある。

　それでも、セキュリティに本腰を入れている企業には、モバイルアプリにMFAを実装する以外の選択肢はほとんどない。MFAは、ユーザーを認証して機密データを保護するベストプラクティスとして受け入れられている。

印刷する